OpenVPN 2.7.8, taggata intorno al 6–7 ottobre 2026, corregge CVE-2026-88964 — un underflow unsigned nella gestione del domain-search su Windows e Android che un server autenticato malevolo può innescare tramite PUSH_REPLY opzioni. Questa guida spiega come verificare la build del client, aggiornare in sicurezza e confermare la patch senza inventare flag CLI che il tuo pacchetto non include.
Perché questo aggiornamento è importante
Secondo la Avviso della wiki della community OpenVPN per CVE-2026-88964, le versioni dalla 2.7_alpha3 alla 2.7.7 sono interessate su Windows e Android. Un server autenticato remoto può causare denial of service o disclosure di memoria tramite opzioni di ricerca di dominio malevole. La correzione è inclusa nella 2.7.8. Copertura indipendente su Linux Compatible (7 ottobre 2026) colloca 88964 accanto a CVE-2026-84790 (byte NULL nei subject dei certificati), un ulteriore hardening per CVE-2026-84256 (quoting di cmd.exe su Windows) e una modifica di robustezza di tls-crypt-v2 senza un ID CVE.
Nota di sicurezza: durante i test connettiti solo a server VPN di cui ti fidi. Un “server autenticato malevolo” nell'avviso indica un peer che ha già superato l'autenticazione — quindi considera i profili .ovpn sconosciuti e le app VPN casuali non attendibili fuori dallo scopo di questa guida. Non tentare di riprodurre l'underflow contro server di produzione.
Passo 1 — Identifica cosa stai effettivamente eseguendo
- Su Windows, apri OpenVPN GUI o OpenVPN Connect e controlla Informazioni / versione. Le build della community spesso mostrano una stringa come
OpenVPN 2.7.x. - Su Android, apri le informazioni di sistema dell'app per OpenVPN Connect o per la tua build di OpenVPN for Android e annota il codice versione mostrato in Play Store o F-Droid.
- Se usi l'app di un marchio VPN di terze parti, potresti non essere affatto su OpenVPN della community — quelle app incorporano i propri stack. Questa guida è rivolta ai client in stile OpenVPN della community / OpenVPN Connect, non ai wrapper proprietari.
Registra la stringa di versione esatta prima di modificare qualsiasi cosa. Se sei già sulla 2.7.8 o successiva per il ramo corretto per la CVE, puoi passare alla verifica invece di reinstallare. I dispositivi gestiti in ambito aziendale potrebbero richiedere un ticket IT invece di un'installazione locale.
Passaggio 2 — Preferisci i pacchetti del fornitore rispetto a mirror casuali
Scarica solo dai canali che già usi per OpenVPN:
- Note di rilascio ufficiali della community OpenVPN / canali di installazione indicati da community.openvpn.net ReleaseHistory per 2.7.8.
- Aggiornamenti di Google Play o F-Droid per il client Android che hai già installato da questi store.
- Cataloghi software aziendali che fissano i checksum — non incollare binari non firmati da thread dei forum.
Verifica i checksum o i metadati della firma quando la tua distribuzione li fornisce. Rifiuta APK modificati non ufficiali e sideload non firmati che pretendono di essere OpenVPN; sono insicuri e fuori dall'ambito delle guide pratiche di questo sito.
Passo 3 — Aggiorna i client Windows
- Chiudi completamente la GUI di OpenVPN (icona nella tray → Exit) in modo che i file non restino bloccati.
- Installa la build Windows 2.7.8 (o una versione patchata più recente) dal tuo canale attendibile sopra l'installazione esistente, a meno che la tua organizzazione non richieda prima una disinstallazione pulita.
- Riavvia se il programma di installazione lo richiede, soprattutto quando i driver TAP/Wintun vengono aggiornati.
- Riapri la GUI, carica i profili esistenti e conferma che la finestra About mostri ora 2.7.8+.
- Connettiti una volta a un server noto e affidabile e controlla il log per un PUSH_REPLY normale, senza crash del client.
Se la tua flotta usa OpenVPN DCO o agenti gestiti di Access Server, conferma che tali componenti siano compatibili con le correzioni DCO e instance-restart di 2.7.8 prima del rollout di massa — Linux Compatible segnala che diverse modifiche di 2.7.8 riguardano i percorsi multi-client e di offload del kernel. Predisponi un anello pilota prima del deployment su larga scala.
Passo 4 — Aggiorna i client Android
- Aggiorna tramite Play Store / F-Droid anziché tramite sideload ogni volta che è possibile.
- Dopo l'aggiornamento, apri l'app una volta su Wi-Fi, accetta eventuali richieste di autorizzazione già esistenti per il binding del servizio VPN e conferma che la versione elencata sia passata oltre 2.7.7 per le build community.
- Importa o riseleziona il tuo profilo, connettiti e visita un sito HTTPS semplice per confermare che il tunnel sia attivo.
- Se l'app offre una vista dei log, conferma che non ci sia un loop di crash quando il server invia i domini di ricerca DNS — la classe di bug affrontata da CVE-2026-88964.
Passo 5 — Verifica e ripristina se necessario
- Conserva il precedente installer o APK in un archivio controllato in modo da poter ripristinare se un profilo aziendale si interrompe.
- Per gli ambienti con molti certificati, ricorda che CVE-2026-84790 fa sì che le build OpenSSL rifiutino i certificati con byte NULL incorporati nei subject — testa quei certificati prima del push aziendale.
- Gli amministratori Windows dovrebbero inoltre notare il continuo rafforzamento del quoting di CreateProcess previsto da CVE-2026-84256 quando si automatizzano gli strumenti di supporto intorno a OpenVPN.
Lista di controllo
- Conferma che la piattaforma sia Windows o OpenVPN community per Android nella finestra 2.7_alpha3–2.7.7.
- Aggiorna solo da canali attendibili alla 2.7.8+.
- Ritesta i profili PUSH_REPLY / dominio di ricerca DNS sui server di cui ti fidi.
- Documenta le stringhe di versione per l'audit.
- Separa questa patch del client dai consigli non correlati su APK modificati non ufficiali — sono fuori ambito e non sicuri.
Dopo la conferma della 2.7.8, trattare l'igiene delle chiavi tls-crypt-v2 e le scansioni dell'inventario dei certificati come il successivo passaggio operativo, invece di presupporre che una singola CVE chiuda ogni rischio OpenVPN sull'endpoint.